情報漏洩対策を全方位で網羅するには何が必要でしょうか。これには実際に発生した情報漏洩事故を振り返ってみることが有効です。毎年JNSA（NPO 日本ネットワークセキュリティ協会）から実際に発生した情報漏洩インシデントの一覧が出されているので、これを頻度順にまとめ、それに筆者がITシステムに関係し有効性が高いと考える対策をマッピングしたものが表1になります。
表1 実際に発生したインシデントから見る対策
（参考：NPO 日本ネットワークセキュリティ協会 2012年情報セキュリティインシデントに関する調査報告書）
マッピングされた対策を整理すると、ITシステムに必要な施策（つまり情報漏洩対策に必要な「楯」）は以下の7つのポイントにまとめられます。
- メール誤送信対策：メール送信時の宛先チェックの厳格化や添付ファイルに関する対策
- データ暗号化：第三者にデータが漏洩した場合に、最終防御となるデータ暗号化
- MDM対策：スマートデバイス機器をモバイル使用する場合の対策や端末設定・管理
- 持ち出し制御：各記録媒体やWeb／メールにより社外にデータを持ち出す場合の対策
- アクセス制御／特権ID管理：職務分掌やOSよりも強固なアクセス基盤と特権IDの管理基盤の構築
- ログ分析：情報漏洩の予兆や問題発生時の原因を把握するためのレポートによる対策
- 多重防御：入口／出口／内部の視点で、総合的に情報の漏洩を防ぐ対策
本連載では、この7つの楯（情報漏洩対策）について、順を追ってご紹介します。
第１の楯として今回解説するのは、メール誤送信対策です。
１．メール誤送信対策
電子メール（以下、メール）は、IT基盤の中で主要なビジネス・ツールとして、またコミュニケーション手段として広く普及しています。コミュニケーション・ツールという性格上、情報漏洩の脅威となり得るツールでもあり、実際にビジネスに大きな影響を及ぼす事故も多数発生しています。しかし、業務の生産性やユーザの利便性を考慮すると、漏洩リスクを根本的に抑止する対策が実装しにくい状態と言えます。
メールによる情報漏洩は、多くの場合、送信者の不注意または操作の不慣れによる「誤送信（誤操作）」に起因しており、具体的には以下の2つの漏洩パターンへの対策を講じることにより、誤送信時の情報漏洩リスクを大きく低減させることができます。
1．メール・アドレスやメール本文に含まれる情報の漏洩対策
メールの宛先誤りによる情報漏洩は比較的容易に発生します。例えば、他社の「A」にメール送信する際、「A」とは面識のない社内の「X」「Y」「Z」に本来「BCC:」で送信するところを「CC:」で送信してしまい、意図せず「A」にメール・アドレスが通知されてしまうというケース、この他にも、社内の「A」に送信するつもりが他社の「A」に送信し、社外秘情報が漏洩してしまうケースや、社内の「B」に送信するつもりが同姓の「C」に送信してしまい、人事的な機微な情報が漏洩したり関係者以外が重要な情報を知ってしまうケースなど様々です。
【対策のポイント】宛先の妥当性チェック、早期発見が重要
送信は一瞬にして行われるため送信者自身がその発生に気づかないことが多いこともメール誤送信の大きな特徴です。そのため、送信先は常に社外であることを想定して、以下のように、メール送信時に宛先の妥当性のチェックや早期発見ができる仕組みが必要です。
一時保留
専用のゲートウェイを設置し、メール送信の操作後にメールを一定期間保留することで、宛先の妥当性チェックに猶予を残す。
上長や自グループへの同報
送信メールに対して上長や自グループをCC:（またはBCC:）として付加し、チェック体制を強化する。
上長承認
社外宛のメール送信には、上長承認（または確認）を必須とし、チェックを二重化する。
2．添付ファイルに含まれる重要な情報の漏洩対策
機密情報や個人情報等の重要な情報をメールに添付して送信する際に、宛先を間違える、または送付するべき情報（ファイル）を間違えることにより、重大な漏洩リスクが発生します。
【対策のポイント】添付ファイルの暗号化が有効
間違った宛先に添付ファイルを送信してしまっても情報を漏洩させないためには「添付ファイルの暗号化」が有効です。実際に弊社の顧客企業においても、ファイルを添付したメールを社外に送信する場合に、暗号化を必須としている企業が増えています。また、暗号化した添付ファイルは復号化のキーを使用して開くことができます。そのため、復号化キーの通知を分け、即時にファイルの内容を参照できない状態にすることで、情報の漏洩を防ぎます。具体的には以下の手順で行います。
手動またはシステムで暗号化
ファイルを手動で暗号化するか、専用ゲートウェイ・サーバを設置してメールに添付されたファイルは自動で暗号化するように設定しておく。
復号化キーは別で送信
メールを送信する際、添付ファイルを復号化するキーを別途通知する旨、送信先に連絡する。またはシステムにより自動で復号化キーを別途通知する。（受信者は添付ファイルを受け取るが、暗号化された状態のためこのままでは参照不可）。
復号化キーの連絡
メール送付後に送信先に電話や別メールにて復号化キー（パスワード）を通知する。
また暗号化の他に、上長承認の義務化や送信するファイルの重要度のチェック等の仕組みも検討されたほうが良いと考えますが、業務の効率化やユーザの利便性も考慮し、無理なく実現可能な施策を選択されると良いでしょう。
今回はメール誤送信対策について解説しました。
次回は、データ暗号化について解説します。
